Mots de passe, MFA et gestion des accès
Appliquer les bonnes pratiques d'authentification pour réduire le risque de compromission d'un compte.
À retenir
- La longueur du mot de passe prime sur la seule complexité, selon les recommandations actuelles.
- La MFA neutralise l'essentiel des vols de mot de passe et doit être activée en priorité.
- Refuser toute notification MFA non déclenchée soi-même et la signaler.
- Le principe du moindre privilège limite l'impact d'une compromission de compte.
Le mot de passe, encore et toujours
Malgré la montée des méthodes d'authentification modernes, le mot de passe reste le premier rempart d'accès à la majorité des comptes professionnels. La recommandation ANSSI privilégie désormais la longueur plutôt que la seule complexité : une phrase de passe longue et unique par service résiste mieux qu'un mot de passe court truffé de caractères spéciaux mais réutilisé partout.
Les règles essentielles
- Un mot de passe unique par service : la réutilisation transforme la fuite d'un seul site en compromission en cascade.
- Une longueur minimale de 12 à 16 caractères pour les comptes sensibles, davantage encore pour les comptes à privilèges.
- L'usage d'un gestionnaire de mots de passe pour générer et stocker des mots de passe robustes sans avoir à les mémoriser.
- Le changement de mot de passe en cas de suspicion de compromission, pas selon un calendrier arbitraire imposé sans raison — cette pratique, longtemps recommandée, est aujourd'hui déconseillée par le NIST car elle pousse à des mots de passe faibles et prévisibles.
Point clé
la meilleure défense contre le vol de mot de passe n'est pas un mot de passe « parfait » mais l'authentification multifacteur (MFA), qui rend le mot de passe seul insuffisant pour un attaquant.
L'authentification multifacteur (MFA)
La MFA combine au moins deux facteurs parmi : ce que l'on sait (mot de passe), ce que l'on possède (téléphone, clé de sécurité physique) et ce que l'on est (biométrie). Une application d'authentification (TOTP) ou une clé physique FIDO2 offrent une protection nettement supérieure à un code reçu par SMS, plus vulnérable au détournement de carte SIM.
Attention
valider une notification MFA reçue sans l'avoir soi-même déclenchée (« MFA fatigue ») est une des attaques les plus efficaces actuellement observées — en cas de notification inattendue, il faut refuser et signaler immédiatement.
Gestion des accès et principe du moindre privilège
Au-delà de l'authentification, la gestion des accès applique le principe du moindre privilège : chaque compte ne dispose que des droits strictement nécessaires à sa fonction, et les comptes à privilèges élevés (administration) sont dissociés des comptes d'usage courant.
| Bonne pratique | Objectif |
|---|---|
| Mot de passe unique et long | Limiter l'impact d'une fuite |
| MFA activée | Neutraliser le vol de mot de passe seul |
| Gestionnaire de mots de passe | Éviter la réutilisation |
| Moindre privilège | Réduire la surface en cas de compromission |
| Verrouillage de session | Protéger un poste laissé sans surveillance |
Sur le terrain
sur un poste partagé en salle technique, le verrouillage systématique de session (Windows+L) en quittant le poste, même deux minutes, évite qu'une action soit exécutée sous une identité qui n'est pas la sienne.
Astuce
activez la MFA en priorité sur la messagerie professionnelle : c'est souvent le compte pivot qui permet de réinitialiser tous les autres mots de passe.